2018年1月23日

IoTセキュリティ
～その技術体系と実践～
パナソニック株式会社
全社CTO室
梶本 一夫

パナソニックのInternet of Things取組み事例

技術10年ビジョン ー IoT/ロボティクス領域 －人工知能、センシング、UI/UXの技術を深化、出口戦略に基づき顧客価値提供

出典 http://www.panasonic.com/jp/corporate/technology-design/10years-vision.html

3

IoTセーフティ＆セキュリティでの新たな懸念
WebからIoTへの移行⇒情報漏洩から直接的に生命・財産が侵されるリスクへ（火事、健康被害、盗難、・・・）
垂直統合型から自動車と住宅連携など水平分業・組合せの多様化⇒一社だけではセーフティ＆セキュリティが保証できない世界へ
B2CからB2B2C（ODM）の多用（サプライチェーンの多様化）⇒進入経路の多種多様化（中国内陸部メーカでのウィルス混入等）
OSSの主流化、SoCの固定化⇒お客様を限定しないB2C商品の改造手法の流通の恐れ
BCP（事業継続性）のリスク⇒セーフティ＆セキュリティ対応投資とビジネス収益の関係（相場感）
無限責任の回避（言い訳の科学的証明）
4

IoTセーフティ・セキュリティ～自動車の場合～

自動車システムの全体アーキテクチャ
パート３：クラウド部
市場

パート２：インフォテイメント部
インフォテイメント機器＋コックピット

AI基盤

UI/UX機能

IoT基盤

GW機能
ADAS

ｴﾝﾀｰﾃｲﾒﾝﾄ機能

ｺﾈｸﾃｨｯﾄﾞ
機能

AI基盤
ECU

ECU
エンジン

車内LAN

メンテポート(CAN,EthenetAVB…)
ECU

ECU

ECU

アクセルブレーキ

カメラ(OBD2)

パート１：車載機器部

パート１：車載機器部
・走る・曲がる・止まるに関連するパート
・車載LANでECUが結ばれ各ECUがソフトウェアで制御・ECU間で通信が発生し複合した連携動作を実現
・機能安全面でASILに応じた実装要請（ハード、ソフト、プロセス、ツール…）
・ADASや自動運転は即時制御必須のため、車内LAN直結で実装（認識技術で深層学習が最近は使われる）

ADAS
AI基盤
ECU

ECU
エンジン

車内LAN

メンテポート(CAN,EthenetAVB…)
ECU

ECU

ECU

アクセル

ブレーキカメラ(OBD2)

パート１：車載機器部のセキュリティリスク
・CANが暗号化されておらず、OBD2ポートより車内コマンド解析され公開済み
・OBD2からCANコマンドを送り込むことで制御や表示データ改ざんが可能
・ECUの実装によってはファームウェアを読み出すコマンドをサポートしており、ファームウェア解析後、セキュリティホールを具備するようアップデートされるリスク

ADAS
AI基盤
ECU

ECU
エンジン

車内LAN

メンテポート(CAN,EthenetAVB…)
ECU

ECU

ECU

アクセルブレーキ

カメラ(OBD2)

パート１：車載機器部のセキュリティリスク対策①個々のECUが改ざん検知、暗復号エンジンなどHSM(Hardware Security Module)を搭載(EVITA:E-safety Vehicle Intrusion proTected Applications等)→長期解②車内LANの暗号化(AutosarのSecOC:Secure on Board Communication等)→長期解③車内LAN信号を観測し異常な動きのパケットを無効化する→中期解(ESCAR Europe2015でのPanasonicのCMI-ECU(Centralized Monitoring andInterceptor ECU)等)
ADAS
AI基盤
ECU
①HSM

ECU
①HSM
エンジン

③CMI-ECU②SecOC

車内LAN(CAN,EthenetAVB…)
ECU
ECU
ECU
①HSM
①HSM
①HSM
アクセル ブレーキ カメラ

メンテポート(OBD2)

パート２：インフォテイメント部
・スピードメータ、ナビなどドライバ、同乗者と情報のインターフェースとなる部分
・車内では比較的リッチなハードリソースが利用可能
・OSはAGL, Android Auto, CarPlayの３つに収斂（保安部品部を除く）
・車載機器部とはGW機能を介して結ばれ、3D地図の勾配情報によるシフトダウン、ヒヤリハット地域での速度制限などの車載機器動作への介入や、各ECUのソフトアップデートなどが実施される・コネクティッド機能を介してクラウドサービスと通信を行いデータのやりとりを実施

インフォテイメント機器＋コックピット
UI/UX機能
GW機能

ｴﾝﾀｰﾃｲﾒﾝﾄ機能

ｺﾈｸﾃｨｯﾄﾞ機能

パート２：インフォテイメント部のセキュリティリスク
・正規オーナがインフォテイメント機器を分解しソフトのオフライン解析のリスク
・USBやBLE通信で外部からマルウェア感染等を仕掛けられるリスク
・自身が汚染されるとGWを介し車載機器部のソフトウェア不正アップデートや不正規CANコマンドの送信などを行うリスク
・自身が汚染されるとスピードメータなど運転に必要な情報が正常に表示できなくなるリスク
・コネクティッド機能を介しクラウドサービス側からマルウェア等を仕込まれるリスク

インフォテイメント機器＋コックピット
UI/UX機能
GW機能

ｴﾝﾀｰﾃｲﾒﾝﾄ機能

ｺﾈｸﾃｨｯﾄﾞ機能

パート２：インフォテイメント部のセキュリティリスク対策①オフライン解析を避けるため必要に応じソフト難読化など耐タンパ化対応②USBやBLE通信におけるファイヤーウォール③車載機器部との通信におけるフィルタの徹底実施、ファイヤーウォール化④車載機器部とのGW/スピードメータ等運転に必須部分、ナビ、コネクイティッド機能の各々を仮想化によりOSごとアイソレートを可能にする安心実装⑤コネクティッド機能側がファイヤーウォールとしてクラウド側をフィルタリング⑥それでも侵入、改ざんされた際の改ざん検知と即時書き戻し(WebARGUS for IoT）

インフォテイメント機器＋コックピット
UI/UX機能
GW機能

ｴﾝﾀｰﾃｲﾒﾝﾄ機能

ｺﾈｸﾃｨｯﾄﾞ機能

パート３：クラウド部
・現在地と関連したレストラン等のレコメンドを実施
・個人ごとにカスタマイズされた嗜好を保持
・人間系のオペレータへの接続も支援・渋滞等でルート変更を提案
・インフォテイメント部、車載機器部のMDM(Mobile Device Management)

市場
AI基盤

IoT基盤

パート３：クラウド部のセキュリティリスク
・通常のクラウド、Webサービス同様、DoS攻撃などのリスク・オーナのなりすまし、プライバシー情報の流出
・アップデートの実行、マルウェア感染・MDM乗っ取りによる全対象車の乗っ取りリスク

市場
AI基盤

IoT基盤

パート３：クラウド部のセキュリティリスク対策=Webセキュリティ対策
防御製品群

外部からの攻撃

不正侵入
DoS / DDoS攻撃SQLｲﾝｼﾞｪｸｼｮﾝ

Copycat(ゼロデイ攻撃)

フ
ァイ
ヤーウ
ォ
ール

不正
侵入発
見・
防御シス
テ
ム

Web

ポートスキャン

Webサービス

Webコンテンツ

アプ
リ
用
フ
ァ
イヤーウ
ォ
ール

アプリ

ソフ
トバグ
修正脆
弱性診
断暗号化DBウィ
ルス
ス
キャ
ン

内部犯行

なりすまし

管理者

ア路クのセ最ス
適権化・
経ISMS

定管
期理的者
変更のID

認証機能への攻撃(ﾊﾟｽﾜｰﾄﾞﾘｽﾄ攻撃,マルウェア感染…)

パッチ
更新設定ファイル

設定洩れを突いた攻撃認証
強化

組織が保有する
セキュリティ
プロセス

https://webargus-jp.ditproducts.com/

デジタルインフォメーションテクノロジー社様資料より引用
サイバー攻撃はITで防ぐ、早期復旧はOTで→早期復旧もIT+OTで行う

Jeep事案

組織による
IoTセーフティ＆セキュリティ対応

IoTセキュリティでの注意点（１）１）B2C, B2B2Cで製品が一般消費者に渡る場合は、オフラインでのハッキング対策に注意
２）購入時以外に、譲渡、廃棄など製品の全ライフサイクルに渡るリスク分析が必要
３）ネットワークの常識は通じない。製品だけ販売するケースでは、ファイヤーウォールがある前提に立ってはいけない。またデフォルトのパスワードはワンタイム化する、パスワード忘れ対応では多要素認証を行うなどする必要あり
４）製品認証xユーザ認証の徹底により、野良化（管理者不在）の機器が接続に来るのを防ぐ
５）アーキテクチャ全体像は複雑だが、全体像を把握した上で対策を実施
18

IoTセキュリティでの注意点（２）６）業界分野ごとに過去からのしがらみ（CANの平文通信など）があり、それを熟知した上でプロセスアプローチ・アーキテクチャアプローチ双方で対策を実施
７）セーフティが冒されるケースを重視したセキュリティ対策が必要。しかし、対策結果がかえってセーフティリスクを高めることはあってはならない（例えば、自動車がハッキングされたことを検知し、運転中に急ブレーキで止める対策は危険なケースもある）
８）製品の組込みソフトウェアにOSSを利用する場合は、ライセンス条件を見て、消費者保護の観点を優先

19

IoTセキュリティ対応１７の指針（IPA）

20

機能安全・ｾｷｭﾘﾃｨ・ｺﾝﾌﾟﾗｲｱﾝｽの全体ﾌﾟﾛｾｽ
機能安全・セキュリティ・コンプライアンスの全体プロセス
リスクの混入予防

リスク分析 設計対策
企画

全社での情報共有設計

ｾｷｭｱｺｰﾃﾞｨﾝｸﾞ等実装

リスクの検査・除去

設計対策
ﾚﾋﾞｭｰ

ｺｰﾄﾞ検証体制・教育による 適用定着

ツールによる安定した適用

ｱｼﾞｬｲﾙ的に即時にﾘﾘｰｽ

検証
ｼｽﾃﾑ検証 全体検証

本社審査

基盤・商品・サービス
パナソニック
クラウド

文書化
ＤＢ化

ﾌﾟﾛｾｽ化
組織化

ＩＴ化

事例分析 ＋事業判断

ｺｰﾄﾞ修正- つぶやき- VOC- 他社比較
- 雑誌批評- 市場問題 市場からの…
ﾌｨｰﾄﾞﾊﾞｯｸ21

セーフティ＆セキュリティでの取組み （１）
社内の製品セキュリティセンターにて、ホワイトハッカーによるセキュリティ検証サービスを実施

脅威分析のフロー例

セキュリティ検証のフローと検証項目例

22

セーフティ＆セキュリティでの取組み （２）製品やサービスのネットワークセキュリティ課題発生時の対応体制（PSIRT: Panasonic Product Security Incident Response Team）
2010/4/1より運用中

23

IoTセーフティ・セキュリティを支える技術体系

技術分類（１）
数学的技術

内容
数学理論により裏付けられる技術

キーワード
暗号（安全性）、ビットコイン（希少性）、暗号計算（安全な統計処理）、秘密分散
秘匿検索・秘密計算

ビットコインを支えるブロックチェーン
http://sssslide.com/speakerdeck.com/ks91/blockchain-overview

http://www.nstac.go.jp/services/pdf/121116_6-1.pdf

秘密分散の効能

秘密分散の原理

http://www.panasonic.com/jp/business/its/cloud_backup/lp.html

https://www.panasonic.com/jp/corporate/technolog
y-design/ptj/pdf/v5902/p0107.pdf

アナログ要素技術

内容

キーワード

アナログ信号を使った解読など、デジタル情報を支える物理信号に関連する技術

真正乱数（熱雑音の利用）、サイドチャネルアタック（電力量や不要輻射の変化から暗号鍵を解読）

インテルの真性乱数生成器

立命館大学 藤野研究室（エントロピー・ソース）（サイドチャネルアタック対抗の根本対策技術）

https://www.isus.jp/security/drng-guide/

http://www.ritsumei.ac.jp/se/re/fujinolab/

25

技術分類（２）
人間行動解析技術

内容
人間の行動解析からリスク検知を行う技術

キーワード人のタッチパネル等の操作の癖から個人認証。人のふりをする
マルウェアの検知
http://www.biocatch.com/

人事DBと重要情報DBを元に社内人員のアクセスパターンと組合わせて不正行為のリスクが高い人を発見
https://fortscale.com/

SNSやYouTube等からテキスト、写真などを分析し、自爆テロ、サイバーテロなどの不法行為の時間や場所、ターゲットを予測
https://www.terrogence.com/

26

技術分類（３）
生体認証技術内容

キーワード

人間の個人認証を指紋等で確実に行う技術

指紋認証、虹彩認証、顔認証、音声認証など

IPA生体認証運用の手引き
https://www.ipa.go.jp/files/000024404.pdf

耐タンパ化技術

内容

キーワード

処理を見破られないように実装する技術

難読化（ソースコードを結果は同じだがロジックを追えない複雑な計算に変更）、破壊（ハードの分解を試みると回路、LSIが破壊され中身を見れなくなる）など

ICカードリーダの耐タンパ紹介.NETのSoftware Obfuscation解説

http://sol.panasonic.biz/ic/jt-r400_r230.html

https://msdn.microsoft.com/ja-jp/library/ms227295.aspx

三菱電機TURBOMISTY
http://www.mitsubishielectric.co.jp/corporate/giho/2002/04/pdf/0204109.pdf
http://itpro.nikkeibp.co.jp/members/NIT/ITARTICLE/20020712/1/zu1.html

27

技術分類（４）
静的解析・セキュアコーディング技術

内容

キーワード

ソースコードを解析し、脆弱性の存在を指 スタックオーバーフローやSQLインジェクションにつな摘。代替手段でのソース改善方法の提示 がるソースコードを排除などを行う。
ソースコード静的解析CHECKMARX社
https://www.checkmarx.com/

ソースコードを静的解析し、関数の呼び出し関係も考慮した上で、最も効率的な改善点をピンポイントで提示

ソースコード静的解析FOSSID社
https://fossid.com/

OSS由来のコードを静的解析により見つけ出し、旧バージョンであれば、それが持つ脆弱性を指摘、脆弱性対策がなされた新バージョンへの置換を促す
バイナリーコード静的解析INSIGNARY社
https://www.insignary.com/

FOSSID同様だがバイナリーでも対応可能に特徴

セキュアコーディングSONY DNA社
https://www.sonydna.com/sdna/solution/scc.html

Secure Coding Checkerを提供し、プログラミングがJSSECセキュアコーディングガイドに従っているかを都度検証（ http://www.jssec.org/dl/android_securecoding.pdf）

28

技術分類（５）
仮想化技術

内容
ハイパーバイザーで処理を孤立化

キーワード
redbend, GreenHills等が組込み向けにも提供

redbend社の仮想化技術を利用したP-04D(スマホ)のパーソナルプロテクト
http://153.127.246.254/pdf/2013-08-01/122161.pdf

セキュアハード技術

内容

キーワード

ハードウェアとして特殊なモードでしかアクセ 暗復号エンジン、TrustZone(ARM)、スできないモードを設けるなど、セキュリティ TPM(Trusted Platform Module)による改ざんを考慮したつくりを提供
検出の保証、バススクランブラ、デバッガー認証
ROM化時のバックドア封止 etc
ARM社TrustZone技術解説

Let’s Note(PC)におけるTPM等の解説

https://www.arm.com/products/security-on-arm/trustzone

http://askpc.panasonic.co.jp/beginner/topics/security04.html

29

技術分類（６）
フォールトトレランス技術

内容

キーワード

回路など多重化することにより、一系統が停止しても、もう一系統で動作を継続

ftServer（Stratus社）、複数データセンターによる多重化、データの多重格納 etc.

Stratus社のftServer
http://www.stratus.com/solutions/platforms/ftserver/

Amazon Web Serviceでの冗長実装紹介
https://aws.amazon.com/jp/cdp/cdp-floating/

レジリエンス技術

内容

キーワード

システムはダウンすることを前提に対応する 避難訓練に伴う退避・復旧を常に行うことで、予技術測できないシステムダウンからも常に復旧できる
産総研のレジリエンスOS MiRK
（エルイーテック社の技術を引継ぎ）

Netflix Chaos Monkey
https://github.com/netflix/chaosmonkey

http://www.itri.aist.go.jp/events/IoTSecSymp16/pdf/20160307poster_ysato.pdf

30

技術分類（７）
枯れた技術

内容

キーワード

古くから実用化され、挙動、寿命などの特性が良くわかっている技術を採用する

衛星打ち上げロケットや人工衛星では、できるだけ安定化した技術の採用とともに、別会社が同じ仕様で別の実装を納入し、それで二重化するなどが実施されている

京都大学 磯部准教授の講座資料より
http://www.kwasan.kyoto-u.ac.jp/~isobe/etc /seika13/file/Seika-20130618.pptx.pdf

プロセス技術内容

キーワード

手順、権限をはっきりさせ、リスク分析・脅威分析から設計、実装、検証の各内容・結果の相互関係のトレーサビリティを保証する（トップダウンアプローチ）

脅威分析等の手順ごとに従来は手法の実施において、ExelやWordなどのドキュメントに手作業で書いていたが、ツールチェーンで全体をサポートする方法が、徐々に採用されつつある

フランスCEA LISTのPapyrusプロジェクト説明http://www-list.cea.fr/en/184-media/list-tv/embedded-systems/195-papyrus
https://www.youtube.com/watch?v=cUmysH--J7I

31

技術分類（８）ネットワーク・Web技術

内容

キーワード

ネットワークやWebの特性に由来する脆弱性を防ぐ技術

ポートスキャン対応、Firewall、証明書による改ざん検知、改ざん監視・復旧など

防御製品群

外部からの攻撃

不正侵入
DoS / DDoS攻撃SQLｲﾝｼﾞｪｸｼｮﾝ

Copycat(ゼロデイ攻撃)

フ
ァイ
ヤーウォ
ール

不正
侵入発
見・
防御シス
テム

Web

ポートスキャン

Webサービス

Webコンテンツ

アプ
リ
用ファ
イ
ヤーウォ
ールアプリ

ソフ
ト
バ
グ
修
正暗号化
DB

ウ
ィ
ル
ス
ス
キ
ャ
ン

内部犯行

なりすまし

管理者

ア
路クのセ
最ス
適権化・
経ISMS

定管
期理的者
変更のID

https://webargus-jp.ditproducts.com/

認
証
強化

パッ
チ
更
新

設定ファイル設定洩れを突いた攻撃

認証機能への攻撃(ﾊﾟｽﾜｰﾄﾞﾘｽﾄ攻撃,マルウェア感染…)

組織が保有するセキュリティ
プロセス

32

脆
弱性診
断技術分類（９）
AI技術

内容

キーワード

過去事例や新規のZero Dayアタック対処法の発表から対策と診断手順を学習、自システムを都度、自動診断し、リスクのアラートや、場合により自己修復を実施

2017/7現在、対応する製品はないが、ITシステ
ムにおいて、過去事例と診断手順を学習し、システ
ムトラブル発生時の課題切分けと対策提案、事故状況によっては自動修復まで行うツールはある

Ipsoft社のIPCenter (AIによるシステムダウン時の自動修復ツール)
http://www.ipsoft.com/ipcenter/

法的対策

内容

キーワード

法制化、法律適用によりセキュリティ問題発生の抑止力とする

リスクの高いままでの製品やサービスの発売抑制、セキュリティ犯罪者の処罰など

B-CASカード社サイトより（刑事罰の明記）
https://www.b-cas.co.jp/law/33

脅威分析・リスク分析のイメージ
リスク・脅威対策

対策の分類

第三者によるハードディスク換
装での個人情報不正コピー

ハードディスクの勝手感想は保証外とする方針による対策

ログイン時、背後からパスワードを盗み見られる

パスワード入力時、画面上は＊の表示にする

仕様による対策

不正規なサイトに誘導される

ユーザにURL入力をさせず、特定サイト固定とする仕様による対策

ＤｏＳ攻撃中、録画が止まってしまう

録画やデコードに関連するプロセス、スレッドの優先度を上げる（優先度設計）

ＳＷ設計による対策

プロセス間通信のドメインを外部解放型のinetから内部権限型のunixドメインに変更する（データ通信設計）

ＳＷ設計による対策

データ領域のメモリ内容を命令コードと解釈しないよう実行コードの難読化とＨＷ内部での自動復号実行

ＨＷ設計による対策

ＪＰＥＧファイルの解釈を厳密化（配列パラメータチェックの厳密化でバッファオーバーラン防止）

ｾｷｭｱｺｰﾃﾞｨﾝｸﾞ技法・
静的解析技法TCP Optionに不正規なデータを入れられてハングアップする

TCP解釈部の文字列チェックを厳密化（Linuxカーネルのデバッグ）

ｾｷｭｱｺｰﾃﾞｨﾝｸﾞ技法・
静的解析技法ＡＰＩを不正規に呼び出され、想定外の入力値で誤動作を誘発される

設計時より関数をＵＭＬ記述。入力値範囲を全件自動生成させ、ツール上で自動検証を実施。全ケース正常動作を保証。

開発手法による対策

不正規なＪＰＥＧファイルでハングアップや例外で別コード起動を誘発される

34

パナソニックにおける「ことづくり」と「エコシステム」（当社資料）

35

IoTビジネスモデル、OSS、IoTセキュリティ等の個別相談・疑問などあれば
kajimo7126@gmail.comまでご連絡ください